Bilgi Güvenliği Politikası

1. Amaç

hangel'de işlenen kişisel ve kurumsal bilginin gizliliğini, bütünlüğünü ve erişilebilirliğini korumak için uyguladığımız kuralları ve bugün aldığımız teknik önlemleri açıklar. Bu metin kamuya dönük politikadır; ISO/IEC 27001'i esas alarak hazırladığımız iç bilgi güvenliği yönetim sistemi belgeleri (BGYS-01 üst politika, BGYS-02 kapsam, BGYS-03 risk yöntemi) taslak aşamasındadır ve bu politikayla çelişmeyecek şekilde tamamlanacaktır.

2. Kapsam

hangel.org web sitesi ve alt alan adları, hangel iOS ve Android uygulamaları, Oda toplantı hizmeti, bunları destekleyen Google Cloud/Firebase altyapısı, kaynak kod deposu ve bu sistemlere erişimi olan herkes (yönetim, çalışanlar, gönüllüler, dış geliştiriciler, tedarikçiler).

3. İlkeler

1. En az yetki. Herkes yalnız görevi için gereken veriye erişir.
2. Sağlık verisi en yüksek korumada. Kan grubu ve sağlık rızası gibi veriler ayrı kurallarla korunur.
3. Risk temelli önlem. Önlemler riske göre seçilir; yaşamsal akışlar (acil kan talebi, giriş) önceliklidir.
4. Paylaşılan sorumluluk. Veri merkezinin fiziksel güvenliği bulut sağlayıcıdadır; erişim, yapılandırma, kod, yedek ve olay yönetimi bizdedir. Google'ın belgeleri hangel'e geçmez.
5. Dürüstlük. Sahip olmadığımız bir güvenlik belgesini ya da denetimi varmış gibi göstermeyiz.

4. Roller ve sorumluluklar

• Yönetim Kurulu: Politikayı onaylar ve kaynak ayırır.
• Teknik sorumlu: Erişim, yapılandırma, yedek ve güvenli geliştirmeden sorumludur.
• Süper yöneticiler: Yalnız kendilerine açılan panel bölümlerini kullanır; hesaplarını başkasıyla paylaşmaz.
• Herkes: Şüpheli durumu hemen bildirir.

5. Uygulama: hangel'de bugün nasıl işliyor

• Şifreli bağlantı: Tüm bağlantılar HTTPS ile şifrelenir; HSTS başlığı gönderilir. Google Cloud saklanan veriyi varsayılan olarak şifreler.
• Erişim kuralları: Veritabanı ve dosya deposu erişimi sunucuda çalışan güvenlik kurallarıyla sınırlıdır ve bu kurallar için otomatik testler vardır. Kurumların banka bilgileri gibi hassas alanlar ayrı ve kısıtlı kayıtlarda tutulur. Yapay zekâ sağlayıcı anahtarları yalnız sunucunun okuyabildiği kayıtlarda saklanır ve hiçbir ekranda tam gösterilmez.
• Giriş: Firebase Authentication kullanılır; parolalar bizim veritabanımızda tutulmaz. Geçiş anahtarı (passkey) ve isteğe bağlı iki adımlı doğrulama (uygulama bildirimi ya da e-posta kodu) vardır.
• Tarayıcı güvenliği: Güvenlik başlıkları ve İçerik Güvenliği Politikası'nın (CSP) temel kuralları zorunludur.
• Kötüye kullanım: Kayıt, iletişim ve anket formlarında Google reCAPTCHA ve ek bot denetimleri; şikâyet, veri başvurusu, sertifika doğrulama gibi uçlarda hız sınırları vardır.
• Kayıt ve izleme: Değişiklik yapan sunucu işlemlerinin önemli bir kısmı denetim kaydına yazılır (iki yıl saklanır). Hatalar Sentry ile Avrupa (Almanya) veri bölgesinde izlenir; hata raporlarına ad, e-posta ya da kullanıcı kimliği eklenmez.
• Yedekleme: Veritabanının günlük otomatik yedeği alınır ve 98 gün saklanır.
• Yazılım bileşenleri: Web uygulamasının kullandığı açık kaynak bileşenlerin listesi (SBOM, CycloneDX) her yayında üretilir ve yayımlanır.
• Açık bildirimi: Güvenlik açıkları info@hangel.org adresine bildirilebilir; alındı yanıtı en geç 3 iş günü içinde verilir (hangel.org/guvenlik).

6. Henüz yapmadıklarımız ve hedeflerimiz

• ISO/IEC 27001 belgemiz, SOC 2 raporumuz ya da bağımsız bir güvenlik denetimimiz yok.
• Bağımsız bir kuruluşa sızma testi yaptırmadık; güvenlik incelemelerini kendi ekibimiz yaptı.
• CSP'nin betik kaynaklarını sınırlayan tam sürümü henüz ölçüm modunda.
• Yetkili hesapların tamamında çok faktörlü doğrulama zorunlu değil; hedefimiz %100.
• Gizli anahtarların tamamı henüz Secret Manager'a taşınmadı; hedefimiz düz metin sırrın sıfırlanması.
• Yedekten geri yükleme testi henüz kayıtlı olarak yapılmadı; anlık geri dönüş (PITR) kapalı.
• Erişim yetkilerinin düzenli (çeyreklik) gözden geçirmesi ve bilgi güvenliği farkındalık eğitimi henüz başlamadı.
• Güvenlik açığı bildirimlerine para ödülü verilmiyor.

7. Bildirim kanalı

• Güvenlik açığı: info@hangel.org (konu: "Güvenlik bildirimi").
• Kişisel veri ihlali şüphesi: kvkk@hangel.org (Veri İhlali Müdahale Politikası).

8. Gözden geçirme

Yılda en az bir kez; önemli bir olaydan, yeni bir bulut bölgesinden, tüzel kişi değişikliğinden ya da büyük bir mimari değişiklikten sonra.

9. İlgili belgeler

hangel.org/guvenlik · Veri İhlali Müdahale Politikası · Kriz ve İş Sürekliliği Politikası · Risk Yönetimi Politikası · Tedarikçi ve Üçüncü Taraf Politikası · Mevcut "Bilgi Güvenliği Politikası" ve "ISO 27001 Durum ve Yol Haritası Beyanı"